พนักงานอาจขโมยข้อมูลอะไร และทำไม?

สำหรับบริษัทหลายแห่ง ข้อมูลคือเลือดชีวิตที่ให้ข้อได้เปรียบเหนือคู่แข่ง จากฐานข้อมูลลูกค้า ไปจนถึงกลยุทธ์แคมเปญ บริษัทลงทุนมาก เพื่อให้แน่ใจว่าพวกเขาสามารถค้นหา ให้บริการ และดูแลลูกค้าได้ด้วยข้อมูล

ผ่านเทคโนโลยีคลาวด์ (Cloud technology) การรวมศูนย์และใช้ข้อมูลสำหรับการประยุกต์จริง ไม่เคยง่ายเท่านี้ แต่ก็เปิดโอกาสให้ความเสี่ยงใหม่ๆ รวมถึง การขโมยข้อมูลโดยพนักงาน (Employee theft) ทำไมพนักงานของคุณถึงขโมยข้อมูล? และพวกเขาเป้าหมายข้อมูลประเภทไหน?

ทำไมพนักงานถึงขโมยข้อมูล

แม้ไม่มีใครอยากสงสัยสมาชิกทีมตัวเองว่าขโมยข้อมูลบริษัทได้ แต่มันแพร่หลายกว่าที่คิด นี่คือเหตุผลหลัก

การฆreté ระหว่างองค์กร (Corporate Espionage)

ด้วยเทคโนโลยีคลาวด์ การฆreté ระหว่างองค์กร ไม่เคยพบบ่อยขนาดนี้ ตามรายงาน 2020 Cost of Insider Threats: Global Report จาก IBM ภัยคุกคามภายใน (Insider threats) เพิ่มขึ้น 3 เท่าตั้งแต่ 2016 โดยมีต้นทุนเฉลี่ยรวม $11.45 ล้านดอลลาร์

จาก 4,716 เหตุการณ์ที่รายงานใน 204 องค์กร 23.4% มาจากผู้มีเจตนาซื่อสัตย์และอาชญากรรมภายใน (Malicious insiders) ด้วยต้นทุนรายปี $4.08 ล้านดอลลาร์

ถูกขโมยโดยคู่แข่ง

อีกด้านหนึ่ง บางพนักงานอาจไม่ได้ตั้งใจขโมยข้อมูล แต่ทำได้ในช่วงท้ายของการทำงานกับคุณ เมื่อคู่แข่งล่อพนักงาน พวกเขาไม่ได้แค่ดึงเพื่อความเชี่ยวชาญ

บางบริษัทจ้างพนักงานจากคู่แข่ง เพื่อเอาเปรียบจากข้อมูลที่พวกเขาสามารถเข้าถึงได้ ด้วยพนักงานที่มองหาวิธีเพิ่มคุณค่า บางคนอาจเก็บเอกสารที่เชื่อว่าอาจมีประโยชน์สำหรับนายจ้างคนต่อไป

เริ่มบริษัทของตัวเอง

วันนี้ เริ่มบริษัทไม่เคยง่ายขนาดนี้ แต่ส่วนหนึ่งที่ทำให้ง่ายสำหรับบางคน คือ พวกเขาไม่ได้เริ่มจากศูนย์อย่างสมบูรณ์

พนักงานเก่าที่มองจะเริ่มธุรกิจในอุตสาหกรรมเดียวกัน อาจขโมยข้อมูลลูกค้าที่มีค่า ซึ่งอาจรวมถึงโปรไฟล์และกระบวนการ ที่บริษัทของคุณใช้เวลาและความพยายามมากในการพัฒนา

ความเกลียดชังส่วนตัว

ในบางกรณี พนักงานที่ลาออกในความไม่ดี สามารถขโมยข้อมูลเพื่อทำให้นายจ้างเสียหน้า เกิดขึ้นบ่อยในบริษัทที่เน้นความเป็นส่วนตัวและความลับเป็นส่วนหนึ่งของโมเดลธุรกิจ

ปี 2017 CBS News รายงาน พนักงานที่ไม่พอใจจากคลินิกศัลยกรรมทันตกรรม Beverly Hills เปิดเผยบันทึกผู้ป่วย 15,000+ รายการบนโซเชียลมีเดีย รวมประวัติการแพทย์ รายละเอียดติดต่อ และข้อมูลอื่นๆ ของลูกค้าสieniuดัง

ประเภทข้อมูลทั่วไปที่พนักงานขโมย

ไม่ว่าจะเพื่อขาย ใช้ หรือแชร์ นี่คือประเภทข้อมูลทั่วไปที่พนักงานขโมย

เอกสารร่วมมือ (Collaborative Documents)

ด้วยทีมหลายทีมเปลี่ยนมาใช้เครื่องมือร่วมมืออย่าง Dropbox และ Google Drive พวกมันสามารถใช้ดาวน์โหลดและแชร์ข้อมูลภายนอกได้ ข้อมูลที่ถูกขโมยบ่อยในรูปแบบเอกสารร่วมมือ รวมถึง การนำเสนอ (Presentations) สัญญา (Contracts) และ Key visuals

ตอนแรก ไอเดียไฟล์ PowerPoint ที่ถูกขโมย ไม่น่ากลัวแต่อย่างไร แต่ ความรุนแรงของเอกสารร่วมมือที่ถูกขโมย สามารถส่งผลต่อบริษัทหลายทาง

เอกสารเหล่านี้อาจรวมข้อมูลสำคัญ เช่น การวิจัยตลาด กลยุทธ์แคมเปญ และ Timeline ข้อมูลนี้สามารถแจ้งเตือนคู่แข่งเรื่องแผนของคุณ และให้พวกเขาตอบโต้หรือลอกเลียนแบบได้

ฐานข้อมูลผู้บริโภค (Consumer Databases)

สำหรับบริษัทที่ทำภารกิจเลี้ยงดูความสัมพันธ์ลูกค้า โปรไฟล์ผู้บริโภค ทำให้ต่างออกไป การรั่วไหลฐานข้อมูลผู้บริโภค ไม่ได้แค่แชร์รายชื่อที่สร้างด้วยความยากลำบาก แต่ยังเสี่ยงความเป็นส่วนตัวของลูกค้า

ปี 2018 พนักงาน Lyft ถูกกล่าวหา เข้าถึงข้อมูลลับของลูกค้า ข้อมูลที่พนักงาน Lyft ถูกกล่าวว่าขโมย รวมถึง รายละเอียดติดต่อของเซเลบริติ ดาราโป๊ และคู่เก่า

ขึ้นอยู่กับลักษณะธุรกิจ การรั่วไหลฐานข้อมูลผู้บริโภค อาจเปิดเผยรายละเอียด เช่น ชื่อ ที่อยู่ เบอร์โทร และรายละเอียดบัตรเครดิต

ฐานข้อมูลผู้บริโภคขนาดใหญ่ ที่แม่นยำและทันสมัย มักถูกขายให้คู่แข่งและ Data brokers เพื่อกำไรทางการเงิน ในบางกรณี การขโมยฐานข้อมูลผู้บริโภค ยังละเมิดข้อมูลสัญญา เช่น ข้อตกลงความลับ

การวิจัยและพัฒนา (Research and Development)

การวิจัย ทำให้ต่างออกไป เมื่อต้องการอยู่บนยอด ไม่ซ่อนว่า บริษัทหลายแห่งลงทุนหาวิธีดีที่สุดอยู่เสมอ อย่างไรก็ตาม พนักงานที่จะลาออก อาจพยายามขอเงินเดือนสูงขึ้น โดยเสนอผลการค้นพบให้ผู้อื่น หรือนำไปเป็นของตัวเอง

ปี 2016 สตาร์ทอัพรถยนต์ Otto ถูก Uber ซื้อ เพื่อผลักดันวิสัยทัศน์รถขับเอง ก่อตั้งบริษัทตัวเองก่อนหน้า Anthony Levandowski ผู้ก่อตั้ง Otto เคยเป็นวิศวกรที่ Google ในแผนกที่กลายเป็น Waymo ภายหลัง 1 ปี Waymo กระชับ Anthony Levandowski ขโมยเอกสารลับ

เอกสารเหล่านี้รวม Trade secrets เพื่อก่อตั้งสตาร์ทอัพรถขับเองของตัวเอง Otto

ตาม The Verge กองใหญ่เทคโนโลยี ตกลงเรื่องร้องเรียน Uber จ่าย Waymo 0.34% ของ Equity ณ ที่ Equity ค่าประมาณ $245 ล้านดอลลาร์ Levandowski ยังถูกจำคุก 18 เดือน

วิธีป้องกันการขโมยข้อมูลภายใน

นี่คือวิธีที่บริษัทของคุณสามารถใช้ เพื่อป้องกันการขโมยข้อมูลภายในโดยพนักงาน

ข้อความสัญญาที่ชัดเจน (Defined Contract Clauses)

ก่อนเริ่มงานกับคุณ พนักงานควรเข้าใจและลงนามสัญญา ที่ระบุว่าพวกเขารับรู้หน้าที่ปกป้องข้อมูลบริษัท แม้อุตสาหกรรมแข่งขันหลายแห่งมี Non-compete clauses บนกระดาษ แต่วันนี้บริษัทส่วนใหญ่ไม่ปฏิบัติตามในทางปฏิบัติ

นอกจากมีข้อกำหนดเหล่านี้ในสัญญาพนักงาน คุณควรตรวจสอบพนักงานเสี่ยงสูง ที่ทำงานหรือก่อตั้งบริษัทในอุตสาหกรรมเดียวกัน เป็นประจำ

ระบบตรวจจับการบุกรุก (Intrusion Detection Systems)

การตรวจจับการขโมยข้อมูลภายใน ต้องการการผสมผสานระหว่าง ซอฟต์แวร์เฝ้าระวัง และ การจำกัดการเข้าถึงแบบระดับ (Leveled access restrictions) ผ่านการจำกัดการเข้าถึงข้อมูลเฉพาะพนักงานที่เกี่ยวข้อง จะง่ายต่อการติดตามการรั่วไหล มีซอฟต์แวร์หลายตัว ที่บริษัทใช้เฝ้าระวังการบุกรุกที่เป็นไปได้

ขั้นตอนการตอบสนองเหตุการณ์ (Incident Response Procedures)

เมื่อตรวจพบภัยคุกคาม บริษัทต้องมีขั้นตอนสำหรับการปฏิบัติทันที แม้ไม่สามารถเตรียมพร้อมสำหรับทุกสถานการณ์เดียวได้ การระบุว่าคุณเสี่ยงสูงสุดที่อะไร ช่วยลดเวลาที่จำเป็นในการตอบสนอง

มุมสำคัญของการตอบสนองเหตุการณ์ที่ดี รวมถึง การลดความเสียหาย การบรรเทา และ การสื่อสารภายใน เป้าหมายของกลยุทธ์ตอบสนองเหตุการณ์คือ คืนการดำเนินงานสู่สภาพปกติโดยเร็วที่สุด

ปกป้องบริษัทจากการขโมยข้อมูลโดยพนักงาน

เรื่องแนวทางความปลอดภัย การป้องกันคือกุญแจ ขึ้นอยู่กับบริษัทของคุณ ประเภทข้อมูลที่เสี่ยงสูงสุดจะแตกต่างกัน การรู้ว่าข้อมูลไหนเสี่ยงสุด ช่วยให้บริษัทลงทุนในวิธีตรวจจับที่สำคัญที่สุด

สำคัญที่จะเข้าใจว่า ไม่ใช่พนักงานทุกคนจะมีเจตนาขโมยข้อมูล แต่ก็เป็นไปได้ที่ข้อมูลองค์กรถูกขโมย เพราะ ความไม่รู้ของพนักงาน หรือ การปฏิบัติความปลอดภัยที่หลวม鬆 นั่นคือเหตุผลที่สำคัญ ต้องสร้างกระบวนการและขั้นตอนบริษัท ที่สะท้อนว่าความปลอดภัยสำคัญเพียงใด